如何通过Ubuntu Sniffer配置，高效提升网络监控效率？

更新于

2026-08-21 19:23:22

5阅读来源：SEO教程

内容介绍
文章标签
相关推荐

按理说，

一、常见痛点：为什么你的 Sniffer 总是“卡顿”或“丢包”

① 捕获数据量过大未使用过滤器直接抓取全部流量。导致磁盘写入和 CPU 消耗飙升。

② 缓冲区设置不当程序内核缓冲区、网卡环形缓冲区过小，容易出现丢包。

③ 单线程解析瓶颈使用传统 tcpdump/wireshark 单进程处理，高速网络下解析速度跟不上。老实说，

④ 硬件资源不足老旧网卡不支持多队列或硬件卸载。抓包效率受限，

⑤ 合规风险未获取授权就随意抓包，可能触犯法律或公司安全政策。

二、工具选型与组合——先选对“刀”。再谈“磨刀”技巧

1️⃣ 命令行轻量方案：`tcpdump`

适合服务器、脚本化抓包，开销极低。常用参数这方面，

# 基本抓取
sudo tcpdump -i eth0 -w /tmp/cap.pcap
# 限制文件大小并自动轮转
sudo tcpdump -i eth0 -W 5 -C 100 -w /var/log/cap_%Y%m%d_%H%M%S.pcap

2️⃣ 高性能命令行方案：`Tshark`

兼具 Wireshark 完整解码能力和命令行自动化特性，支持多线程解析。

# 多线程解析并直接输出 CSV
sudo tshark -i eth0 -Y "http.request" -T fields -e frame.time \
-e ip.src -e ip.dst -e http.host -E header=y -E separator=,\
> http_requests.csv

3️⃣ 图形化全功能方案：`Wireshark`

适合桌面分析、交互式过滤和协议层次查看。不过，建议在捕获完毕后再打开，以免占用服务器配置资源。

4️⃣ 加速库与驱动：PF_RING、AF_PACKET+MMAP、DPDK 等

在千兆/万兆环境下可结合 libpcap/PFRING 实现零拷贝，提高捕获上限至数十 Gbps。话说回来，

三、Sniffer 配置文件关键参数

# /etc/netsniff/config
capture: on # 开关捕获
从mode来看，promiscuous # 捕获模式，可选 promiscuous / monitor
interface: eth0 # 指定网卡
filter的观点是，"tcp port 80" # BPF 过滤表达式
buffer_size: 262144 # 内核缓冲区，根据流量调大
ring_buffers: 4 # 多队列网卡时启用的环形缓冲区数量
rotate_size_mb: 200 # 文件轮转阈值
rotate_count: 10 # 保留最近 N 个文件
output_format: pcapng # 推荐使用 pcapng，支持多段写入和元数据
log_level: info # 可选 debug / info / warn / error

四、精准过滤——把“噪声”剔除。只留下需要的信号

BPF 基础语法：tcp port 80 and host 192.168.1.100
常用组合示例：

仅捕获 HTTP 流量： -f "port 80 or port 443"
排除局域网内部通信： -f "not net 192.168.0.0/16"
只看 DNS 查询： -f "udp port 53"
高频攻击特征： -f "tcp & tcp-syn!= 0 and tcp & tcp-ack == 0"

Curl‑style 参数简化： 在配置文件中直接写入完整表达式即可，无需每次命令行重复。

五、硬件与内核调优——让程序底层为抓包保驾护航

a) 增大内核网络缓冲区

# 临时生效
sysctl -w net.core.rmem_max=12582912 # 接收缓冲上限 ~12 MB
sysctl -w net.core.wmem_max=12582912 # 发送缓冲上限 ~12 MB
# 永久写入 /etc/sysctl.conf 或 /etc/sysctl.d/99-sniffer.conf
net.core.rmem_max = 12582912
net.core.wmem_max = 12582912
net.core.rmem_default = 262144
net.core.wmem_default = 262144
net.ipv4.tcp_rmem = 4096 87380 12582912
net.ipv4.tcp_wmem = 4096 65536 12582912

b) 调整网卡环形缓冲区

NVIDIA/Intel 高端网卡通常支持多队列和 RSS。使用 ethtool 查看并修改：

# 查看当前设置
ethtool -g eth0
# 设置每个队列的环形缓存为4096个块
ethtool -G eth0 rx 4096 tx 4096
# 启用多队列
ethtool -L eth0 combined 4 # 启用四个接收队列

b) 开启硬件卸载功能

# 禁用对抓包有干扰的 offload 项目，保证完整报文捕获
sudo ethtool –K eth0 tso off gso off gro off lro off
# 如需加速可保留 checksum offload
sudo ethtool –K eth0 rx‑checksum on tx‑checksum on

六、并行处理与存储调整——把 “慢”变 “快”

Tshark 多线程模式： -j nproc=$ 自动利用全部 CPU 主要。
Pcapng 分段写入： -C size_mb –W file_cnt –w capture_%Y%m%d_%H%M%S.pcapng 避免单文件过大导致 I/O 抖动。
ZSTD 压缩流保存： 配合实时压缩，可将磁盘占用降低至原始的30%。示例的观点是，
```
# 实时压缩保存
tcpdump -i eth0 -w - | zstdmt -T$> capture_$.pcap.zst
```

SPOOL & PIPE 到 Elasticsearch/Kafka： 实现秒级实时分析：

七、实时监控与动态调优 —— 把握流量脉搏。及时应对异常

工具 & 场景关键命令 & 用法

IfTop 实时带宽排行 显示每条 TCP/UDP 链路的吞吐率，可配合 -F IP/MASK .

Nload 终端图形化流量趋势 提供进出流量曲线，快速定位峰值时间点。说起来，

Nethogs 按进程带宽占用 帮助定位哪个进程产生异常流量。

Dstat + Netstat 整程序统 + 网络统计 综合展示 CPU、磁盘 I/O 与网络报文速率。

* 将上述监控结果通过

...

八、落地实操案例 —— 快速在局域网中只抓 HTTP 流量并实现自动轮转保存

Create a dedicated configuration file :

# /etc/netsniff/sniffer_http.conf 
sniffer:
capture:    "on"
说到mode，"promiscuous"
interface: "eth0"
&nb sp;

标签：Ubuntu

按理说，

一、常见痛点：为什么你的 Sniffer 总是“卡顿”或“丢包”

① 捕获数据量过大未使用过滤器直接抓取全部流量。导致磁盘写入和 CPU 消耗飙升。

② 缓冲区设置不当程序内核缓冲区、网卡环形缓冲区过小，容易出现丢包。

③ 单线程解析瓶颈使用传统 tcpdump/wireshark 单进程处理，高速网络下解析速度跟不上。老实说，

④ 硬件资源不足老旧网卡不支持多队列或硬件卸载。抓包效率受限，

⑤ 合规风险未获取授权就随意抓包，可能触犯法律或公司安全政策。

二、工具选型与组合——先选对“刀”。再谈“磨刀”技巧

1️⃣ 命令行轻量方案：`tcpdump`

适合服务器、脚本化抓包，开销极低。常用参数这方面，

# 基本抓取
sudo tcpdump -i eth0 -w /tmp/cap.pcap
# 限制文件大小并自动轮转
sudo tcpdump -i eth0 -W 5 -C 100 -w /var/log/cap_%Y%m%d_%H%M%S.pcap

2️⃣ 高性能命令行方案：`Tshark`

兼具 Wireshark 完整解码能力和命令行自动化特性，支持多线程解析。

# 多线程解析并直接输出 CSV
sudo tshark -i eth0 -Y "http.request" -T fields -e frame.time \
-e ip.src -e ip.dst -e http.host -E header=y -E separator=,\
> http_requests.csv

3️⃣ 图形化全功能方案：`Wireshark`

适合桌面分析、交互式过滤和协议层次查看。不过，建议在捕获完毕后再打开，以免占用服务器配置资源。

4️⃣ 加速库与驱动：PF_RING、AF_PACKET+MMAP、DPDK 等

在千兆/万兆环境下可结合 libpcap/PFRING 实现零拷贝，提高捕获上限至数十 Gbps。话说回来，

三、Sniffer 配置文件关键参数

# /etc/netsniff/config
capture: on # 开关捕获
从mode来看，promiscuous # 捕获模式，可选 promiscuous / monitor
interface: eth0 # 指定网卡
filter的观点是，"tcp port 80" # BPF 过滤表达式
buffer_size: 262144 # 内核缓冲区，根据流量调大
ring_buffers: 4 # 多队列网卡时启用的环形缓冲区数量
rotate_size_mb: 200 # 文件轮转阈值
rotate_count: 10 # 保留最近 N 个文件
output_format: pcapng # 推荐使用 pcapng，支持多段写入和元数据
log_level: info # 可选 debug / info / warn / error

四、精准过滤——把“噪声”剔除。只留下需要的信号

BPF 基础语法：tcp port 80 and host 192.168.1.100
常用组合示例：

仅捕获 HTTP 流量： -f "port 80 or port 443"
排除局域网内部通信： -f "not net 192.168.0.0/16"
只看 DNS 查询： -f "udp port 53"
高频攻击特征： -f "tcp & tcp-syn!= 0 and tcp & tcp-ack == 0"

Curl‑style 参数简化： 在配置文件中直接写入完整表达式即可，无需每次命令行重复。

五、硬件与内核调优——让程序底层为抓包保驾护航

a) 增大内核网络缓冲区

# 临时生效
sysctl -w net.core.rmem_max=12582912 # 接收缓冲上限 ~12 MB
sysctl -w net.core.wmem_max=12582912 # 发送缓冲上限 ~12 MB
# 永久写入 /etc/sysctl.conf 或 /etc/sysctl.d/99-sniffer.conf
net.core.rmem_max = 12582912
net.core.wmem_max = 12582912
net.core.rmem_default = 262144
net.core.wmem_default = 262144
net.ipv4.tcp_rmem = 4096 87380 12582912
net.ipv4.tcp_wmem = 4096 65536 12582912

b) 调整网卡环形缓冲区

NVIDIA/Intel 高端网卡通常支持多队列和 RSS。使用 ethtool 查看并修改：

# 查看当前设置
ethtool -g eth0
# 设置每个队列的环形缓存为4096个块
ethtool -G eth0 rx 4096 tx 4096
# 启用多队列
ethtool -L eth0 combined 4 # 启用四个接收队列

b) 开启硬件卸载功能

# 禁用对抓包有干扰的 offload 项目，保证完整报文捕获
sudo ethtool –K eth0 tso off gso off gro off lro off
# 如需加速可保留 checksum offload
sudo ethtool –K eth0 rx‑checksum on tx‑checksum on

六、并行处理与存储调整——把 “慢”变 “快”

Tshark 多线程模式： -j nproc=$ 自动利用全部 CPU 主要。
Pcapng 分段写入： -C size_mb –W file_cnt –w capture_%Y%m%d_%H%M%S.pcapng 避免单文件过大导致 I/O 抖动。
ZSTD 压缩流保存： 配合实时压缩，可将磁盘占用降低至原始的30%。示例的观点是，
```
# 实时压缩保存
tcpdump -i eth0 -w - | zstdmt -T$> capture_$.pcap.zst
```

SPOOL & PIPE 到 Elasticsearch/Kafka： 实现秒级实时分析：

七、实时监控与动态调优 —— 把握流量脉搏。及时应对异常

工具 & 场景关键命令 & 用法

IfTop 实时带宽排行 显示每条 TCP/UDP 链路的吞吐率，可配合 -F IP/MASK .

Nload 终端图形化流量趋势 提供进出流量曲线，快速定位峰值时间点。说起来，

Nethogs 按进程带宽占用 帮助定位哪个进程产生异常流量。

Dstat + Netstat 整程序统 + 网络统计 综合展示 CPU、磁盘 I/O 与网络报文速率。

* 将上述监控结果通过

...

八、落地实操案例 —— 快速在局域网中只抓 HTTP 流量并实现自动轮转保存

Create a dedicated configuration file :

# /etc/netsniff/sniffer_http.conf 
sniffer:
capture:    "on"
说到mode，"promiscuous"
interface: "eth0"
&nb sp;

标签：Ubuntu

一、常见痛点：为什么你的 Sniffer 总是“卡顿”或“丢包”

二、工具选型与组合——先选对“刀”。再谈“磨刀”技巧

1️⃣ 命令行轻量方案：tcpdump

2️⃣ 高性能命令行方案：Tshark

3️⃣ 图形化全功能方案：Wireshark

4️⃣ 加速库与驱动：PF_RING、AF_PACKET+MMAP、DPDK 等

三、Sniffer 配置文件关键参数

四、精准过滤——把“噪声”剔除。 只留下需要的信号

五、硬件与内核调优——让程序底层为抓包保驾护航

a) 增大内核网络缓冲区

b) 调整网卡环形缓冲区

b) 开启硬件卸载功能

六、并行处理与存储调整——把 “慢”变 “快”

七、实时监控与动态调优 —— 把握流量脉搏。及时应对异常

八、落地实操案例 —— 快速在局域网中只抓 HTTP 流量并实现自动轮转保存

相关推荐

一、常见痛点：为什么你的 Sniffer 总是“卡顿”或“丢包”

二、工具选型与组合——先选对“刀”。再谈“磨刀”技巧

1️⃣ 命令行轻量方案：tcpdump

2️⃣ 高性能命令行方案：Tshark

3️⃣ 图形化全功能方案：Wireshark

4️⃣ 加速库与驱动：PF_RING、AF_PACKET+MMAP、DPDK 等

三、Sniffer 配置文件关键参数

四、精准过滤——把“噪声”剔除。 只留下需要的信号

五、硬件与内核调优——让程序底层为抓包保驾护航

a) 增大内核网络缓冲区

b) 调整网卡环形缓冲区

b) 开启硬件卸载功能

六、并行处理与存储调整——把 “慢”变 “快”

七、实时监控与动态调优 —— 把握流量脉搏。及时应对异常

八、落地实操案例 —— 快速在局域网中只抓 HTTP 流量并实现自动轮转保存

相关推荐

1️⃣ 命令行轻量方案：`tcpdump`

2️⃣ 高性能命令行方案：`Tshark`

3️⃣ 图形化全功能方案：`Wireshark`

四、精准过滤——把“噪声”剔除。只留下需要的信号

1️⃣ 命令行轻量方案：`tcpdump`

2️⃣ 高性能命令行方案：`Tshark`

3️⃣ 图形化全功能方案：`Wireshark`

四、精准过滤——把“噪声”剔除。只留下需要的信号